Mydoom

Mydoom (también conocido como Novarg o Shimgapi) es un gusano informático que atacaba sistemas Microsoft Windows. Fue detectado por primera vez el 26 de enero de 2004 y rápidamente se convirtió en el gusano de correo electrónico de propagación más rápida de la historia, superando récords anteriores establecidos por Sobig e ILOVEYOU. Este récord, establecido en 2004, no ha sido superado hasta la fecha[citation:3].

En su punto álgido, se estima que Mydoom fue responsable de hasta el 30% de todo el tráfico de correo electrónico global[citation:1][citation:8], infectando al menos 500.000 computadoras en todo el mundo[citation:3]. Su impacto económico se estimó en más de 26 mil millones de dólares[citation:8].

Características principales

Origen y misterio

El autor original del gusano nunca ha sido identificado[citation:1][citation:3].
Las primeras copias del gusano interceptadas se originaron en Rusia, lo que llevó a los expertos en seguridad a creer que su creador podría ser de esa región[citation:3][citation:11].
Se especuló que el gusano fue encargado por spammers para enviar correo basura desde computadoras infectadas[citation:3].
El gusano contiene la línea de texto: "Andy; I'm just doing my job, nothing personal, sorry", lo que muchos interpretaron como un mensaje del autor a un contratista[citation:3].
El nombre "Mydoom" fue elegido por Craig Schmugar, empleado de McAfee, después de notar el texto "mydom" en una línea del código del programa. Pensó que tener "doom" en el nombre sería apropiado dado el alcance de la amenaza[citation:3].
Recompensa: Tanto Microsoft como SCO ofrecieron una recompensa de 250.000 dólares por información que condujera al arresto de los responsables del gusano[citation:1][citation:11].

Ingeniería social y propagación

Mydoom no explotaba ninguna vulnerabilidad del software de Windows. En su lugar, utilizaba técnicas de ingeniería social para engañar a los usuarios y lograr que ejecutaran el archivo adjunto malicioso[citation:1][citation:8][citation:9].

Se distribuía a través de correos electrónicos que parecían ser mensajes de error del sistema, con asuntos como "Error", "Test", "Mail Delivery System" o "Mail Transaction Failed"[citation:1][citation:4].
El cuerpo del mensaje contenía textos como: "The message contains Unicode characters and has been sent as a binary attachment"[citation:4].
El archivo adjunto llegaba con nombres y extensiones variables (`.ZIP`, `.BAT`, `.CMD`, `.EXE`, `.PIF` o `.SCR`) y con un icono de archivo de texto para parecer inofensivo[citation:1][citation:4].
Una vez abierto, el gusano iniciaba el Bloc de notas (Notepad) mostrando caracteres aleatorios, mientras el malware se ejecutaba en segundo plano[citation:1][citation:4].

Métodos de propagación

Correo electrónico masivo: Extraía direcciones de correo electrónico de los archivos del sistema infectado y se enviaba a sí mismo a esos contactos[citation:1][citation:4].
Redes P2P: Se copiaba a sí mismo en la carpeta de archivos compartidos de programas como Kazaa[citation:1][citation:3].
Puerta trasera (Backdoor): Abría el puerto TCP 3127 para permitir el control remoto del ordenador infectado[citation:2][citation:9]. Esto lo convertía en parte de una botnet.
Modificación del Hosts: La variante Mydoom.B modificaba el archivo `hosts` para bloquear el acceso a los sitios web de Microsoft y de los principales proveedores de antivirus, dificultando así la descarga de actualizaciones y herramientas de limpieza[citation:3][citation:4].

Payloads y ataques DDoS

El gusano cargaba con varias cargas maliciosas (payloads):

**Ataque a SCO (Mydoom.A)**: Diseñado para iniciar un ataque de denegación de servicio (DDoS) contra el sitio web de SCO Group a partir del 1 de febrero de 2004. Las pruebas posteriores indicaron que este ataque funcionaba solo en el 25% de los sistemas infectados[citation:3]. Aun así, el ataque fue efectivo y logró paralizar el sitio web de la compañía[citation:8].
**Ataque a Microsoft (Mydoom.B)**: Una segunda variante, Mydoom.B, también atacaba el sitio web de Microsoft (www.microsoft.com) y bloqueaba el acceso a sitios de antivirus[citation:3][citation:4]. El menor número de copias de esta variante limitó el impacto en los servidores de Microsoft[citation:3].
**Objetivo de los ataques**: SCO Group era una empresa que mantenía una disputa legal con la comunidad de código abierto sobre la propiedad de partes del código de Linux. Esto llevó a especulaciones de que el gusano fue creado por simpatizantes del código abierto, teoría que fue rechazada por investigadores de seguridad y agentes de la ley, quienes atribuyeron el ataque a bandas de crimen organizado[citation:3][citation:8].

Impacto y consecuencias

Récord de propagación

En su punto máximo, uno de cada 12 correos electrónicos llevaba el gusano, superando a Sobig.F que infectaba uno de cada 17[citation:4][citation:11].
En los primeros 36 horas, el gusano ya había inundado Internet con más de 100 millones de correos infectados[citation:1].
El FBI inició una investigación activa para encontrar el origen del gusano[citation:1][citation:11].

Caos en la infraestructura de Internet

Los servidores de correo de miles de organizaciones colapsaron o redujeron drásticamente su rendimiento[citation:2][citation:6].
Se estima que el ataque DDoS contra SCO fue tan masivo que "abrumaba a Internet con solicitudes a www.sco.com"[citation:8].
Los costes económicos totales del incidente se estimaron en más de 26 mil millones de dólares[citation:8].

Legado en la guerra de malware

Mydoom provocó una inusual "guerra" entre creadores de malware. El gusano NetSky, que apareció poco después, fue programado para eliminar Mydoom de los sistemas infectados[citation:6].
Esta rivalidad desencadenó una competencia en la que ambos grupos lanzaban nuevas variantes con mensajes despectivos y funcionalidades para destruir el malware de su oponente, generando entre ambos el 80-90% del tráfico malicioso en la red durante el pico de la guerra[citation:6].

Aparición de Doomjuice

El 9 de febrero de 2004, apareció el gusano Doomjuice, que se propagaba exclusivamente a través de las computadoras que ya estaban infectadas con Mydoom, utilizando el puerto 3127 que este había abierto[citation:6].

Relación con otros conceptos

Ingeniería Social: Mydoom es un ejemplo clásico de un gusano que se propagó gracias al error humano, engañando a los usuarios para que abrieran archivos adjuntos maliciosos.
Botnets: El gusano convertía los ordenadores infectados en una botnet al abrir un puerto trasero, demostrando el poder de las redes de dispositivos comprometidos.
DDoS: Mydoom fue uno de los primeros gusanos en combinar la propagación masiva por correo con ataques coordinados de denegación de servicio contra objetivos específicos.
Malware: Mydoom es un hito en la historia del malware por su velocidad de propagación y su impacto duradero en la infraestructura de Internet.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Véase también

Esta página forma parte de la Categoría:Familias de malware.